Dodajanje datoteke security.txt na Vaše spletno mesto
Če kdo na Vaši spletni strani najde varnostno ranljivost, na primer odprto mapo ali zastarel vtičnik, želite, da Vas ta oseba lahko opozori. Temu je namenjen security.txt: majhna besedilna datoteka na stalnem mestu na Vaši spletni strani, ki vsebuje naslov, kamor naj se pošiljajo takšne prijave. Določa ga internetni standard RFC 9116. Tukaj preberete, kaj vsebuje in kako ga namestite.
Lokacija
Datoteka se nahaja na https://example.com/.well-known/security.txt. Staro lokacijo /security.txt v korenski mapi lahko uporabite dodatno, a če je datoteka na obeh mestih, velja tista v /.well-known/. Dostopna mora biti prek https in poslana kot navadno besedilo (text/plain).
Datoteka velja samo za ime, na katerem se nahaja. Datoteka security.txt na example.com torej ne velja samodejno za shop.example.com. Če ima poddomena svojo spletno stran, tudi tam namestite datoteko security.txt.
Kaj vsebuje
Contact: mailto:security@example.com Expires: 2027-10-31T23:00:00Z Preferred-Languages: nl, en Canonical: https://example.com/.well-known/security.txt
| Polje | Obvezno? | Pomen |
|---|---|---|
Contact | Da | Kam naj se pošiljajo prijave: naslov mailto:, številka tel: ali spletna stran, ki se začne z https://. Navedete jih lahko več, enega pod drugim; prvi je Vaša prednostna izbira. |
Expires | Da, natanko enkrat | Datum in čas, po katerem datoteka velja za zastarelo, na primer 2027-10-31T23:00:00Z. Standard priporoča datum, ki je manj kot eno leto v prihodnosti. |
Preferred-Languages | Ne | Jeziki, v katerih želite prejemati prijave. |
Canonical | Ne | Naslov same datoteke. |
Policy | Ne | Povezava do strani z Vašo politiko glede prijav: kaj storite s prijavo in kaj pričakujete od prijavitelja. |
Encryption | Ne | Povezava do Vašega javnega ključa, če Vam prijavitelji lahko pošiljajo šifrirana e-poštna sporočila. |
Pri polju Contact uporabite naslov, ki ga nekdo dejansko bere. Pozabljen poštni predal je slabši kot nobena datoteka security.txt: prijavitelj misli, da ste bili opozorjeni. Podpis z digitalnim podpisom (OpenPGP) je dovoljen, vendar ni obvezen.
Namestitev na gostovalni paket
- V DirectAdminu odprite File Manager in pojdite v
domains/example.com/public_html. Glejte Odpiranje upravitelja datotek: mape v Vašem paketu. - Če mapa
.well-knownše ne obstaja, jo ustvarite. Mape, ki se začnejo s piko, vidite šele, ko prikažete skrite datoteke: glejte Prikaz in urejanje skritih datotek, kot je .htaccess. - V tej mapi ustvarite novo datoteko
security.txt, vanjo prilepite svoje vrstice in jo shranite. - V brskalniku odprite
https://example.com/.well-known/security.txt. Videti bi morali svoje besedilo.
Če uporabljate WordPress ali drug CMS, se nič ne spremeni: datoteko, ki dejansko obstaja, spletni strežnik preprosto pošlje.
Namestitev na VPS
Na VPS datoteko namestite v spletno mapo svoje strani, na primer /var/www/example.com/.well-known/security.txt. Bodite pozorni na dve stvari:
- Če v nginx blokirate vse poti, ki se začnejo s piko, najprej dodajte izjemo za
/.well-known/. - Če aplikacija teče za povratnim posrednikom (reverse proxy), v Caddy ali nginx nastavite, da pot kaže na datoteko.
Glejte Caddy: spletna stran s samodejnim https in nginx s potrdilom Let's Encrypt.
Preverjanje
Glave si oglejte z ukazom:
curl -sI https://example.com/.well-known/security.txt
Status mora biti 200 in vrsta text/plain. Pogosta napaka: stran, ki na vsak neznan naslov odgovori z naslovnico. Takrat se zdi, da datoteka obstaja, vendar se vrne HTML. Zato preverite tudi vsebino. Test spletnih strani na internet.nl prav tako preverja security.txt.
Vsakoletna posodobitev
V koledar si dovolj pred datumom v polju Expires nastavite opomnik. Takrat preverite, ali je kontaktni naslov še pravilen, in datum premaknite naprej. Če se vmes kaj spremeni, na primer nov naslov ali odhod sodelavca, datoteko takoj posodobite.
Nadaljnje branje
- RFC 9116: A File Format to Aid in Security Vulnerability Disclosure (v angleščini)
- securitytxt.org, z orodjem za izdelavo datoteke (v angleščini)
Želite izvedeti več? Sledite brezplačnemu tečaju VPS in upravljanje strežnikov Linux, lekciji 7.4 Caddy, HSTS in security.txt ali lekciji 10.4 Končni pregled: preizkus Vašega strežnika.